HinSchG-Meldestelle kostenlos einrichten? Was gratis geht — und wo die Falle liegt
Eine interne Meldestelle nach dem HinSchG lässt sich formal kostenlos einrichten — per E-Mail-Postfach oder Telefonnummer. Wir zeigen sachlich, wo die Gratis-Lösung an Vertraulichkeit (§ 16), Fristen und Dokumentation scheitert, was professionelle Systeme ab rund 33–49 EUR/Monat kosten und worauf es bei der Auswahl ankommt.
Ja, eine interne Meldestelle nach dem Hinweisgeberschutzgesetz lässt sich formal kostenlos einrichten — das Gesetz schreibt keine Software vor, ein E-Mail-Postfach oder eine Telefonnummer mit benannter Person genügt dem Wortlaut. Die Falle liegt in der Praxis: Vertraulichkeit nach § 16 HinSchG, die Fristen (Eingangsbestätigung binnen 7 Tagen, Rückmeldung binnen 3 Monaten) und die Dokumentationspflicht nach § 11 HinSchG muss die Gratis-Lösung genauso rechtssicher erfüllen wie ein professionelles System — und genau daran scheitert das offene Postfach regelmäßig. Dieser Beitrag zeigt sachlich, was gratis trägt, wo die Risiken liegen und was professionelle Systeme 2026 kosten.
Stand: Juli 2026 · Aktualisiert am 17.07.2026
Was das Gesetz wirklich verlangt
Unternehmen ab 50 Beschäftigten müssen eine interne Meldestelle betreiben (§ 12 HinSchG) — wer das unterlässt, riskiert ein Bußgeld bis 20.000 EUR. Die Meldestelle muss Meldungen in mündlicher oder Textform ermöglichen, den Eingang binnen sieben Tagen bestätigen, binnen drei Monaten über ergriffene Maßnahmen zurückmelden (§ 17 HinSchG), jede Meldung dokumentieren (§ 11 HinSchG, Löschung drei Jahre nach Verfahrensabschluss) und vor allem: die Identität der hinweisgebenden Person vertraulich halten (§ 16 HinSchG). Wer unter die Pflicht fällt und wie die Details aussehen, fasst unser Beitrag zur Meldestellen-Pflicht ab 50 Mitarbeitern zusammen.
Eine bestimmte Technik verlangt das Gesetz nicht — deshalb ist die Gratis-Variante nicht per se rechtswidrig. Sie muss nur alle diese Pflichten zuverlässig erfüllen. Und das ist der Punkt, an dem es eng wird.
Die Gratis-Optionen im Realitätscheck
| Option | Kosten | Wo sie trägt | Wo sie bricht |
|---|---|---|---|
| E-Mail-Postfach (z. B. hinweis@firma.de) | 0 EUR | Meldung in Textform möglich | Zugriffskreis schwer kontrollierbar (IT-Admins!), keine Fristen-Workflows, Vertraulichkeit § 16 kaum belegbar |
| Telefonnummer / benannte Person | 0 EUR | mündliche Meldung möglich | Vertretungsfall, Dokumentationspflicht § 11 komplett manuell, kein Nachweis der Fristen |
| Briefkasten | 0 EUR | niedrigschwellig | keine Eingangsbestätigung binnen 7 Tagen an anonym Meldende möglich, Dokumentation manuell |
| Digitales Meldesystem (Einstieg) | ab ca. 33–49 EUR/Monat | Vertraulichkeit, Fristen, Dokumentation systemseitig | laufende Kosten |
| Externe Ombudsperson (Anwalt) | Honorar nach Vereinbarung | Unabhängigkeit, juristische Ersteinschätzung | Kosten je Fall/Pauschale, Erreichbarkeit regeln |
<!-- Quellen: Gesetzestext §§ 11, 12, 16, 17, 40 HinSchG (https://www.gesetze-im-internet.de/hinschg/) · Preise: https://www.parlabox.pro/preise/ (33 EUR/Monat) · https://www.hintbox.de/preise/ (99 EUR/Monat regulär, einmalig 390 EUR Onboarding) · https://www.hintbox.de/kmu/ (KMU-Angebot ab 49 EUR/Monat) · Stand: 2026-07-17 -->
Transparenz: CERTISCAN ist Herausgeber dieses Beitrags und selbst Anbieter. Preise und Funktionsangaben zu Drittanbietern stammen von deren öffentlichen Websites (Stand: 17.07.2026) und können sich ändern — bitte vor einer Entscheidung direkt beim Anbieter prüfen.
Drei Risiken der Postfach-Lösung, nüchtern betrachtet:
- Vertraulichkeit ist nicht belegbar. § 16 HinSchG verlangt, dass die Identität des Hinweisgebers nur den zuständigen Personen bekannt wird. Auf ein normales E-Mail-Postfach haben faktisch auch IT-Administratoren Zugriff; Weiterleitungen, Vertretungsregeln und Backups vergrößern den Kreis unkontrolliert. Im Streitfall müssen Sie darlegen können, wer wann Zugriff hatte — ein Standard-Postfach gibt das nicht her.
- Fristen laufen ungesteuert. Eingangsbestätigung binnen sieben Tagen und Rückmeldung binnen drei Monaten müssen je Meldung nachweisbar eingehalten werden. Ohne Workflow hängt das an der Urlaubsplanung einer einzelnen Person.
- Die Dokumentation ist angreifbar. § 11 HinSchG verlangt eine dauerhafte, abrufbare Dokumentation jeder Meldung — mit geregelter Löschung drei Jahre nach Abschluss. Verstreute Mails und Gesprächsnotizen erfüllen das schlecht und kollidieren schnell mit der DSGVO (Zugriffskontrolle, Löschkonzept).
Achtung: Das größte Risiko der Gratis-Lösung ist nicht das Bußgeld, sondern verlorenes Vertrauen: Eine Meldestelle, der die Beschäftigten nicht zutrauen, vertraulich zu sein, wird nicht genutzt — Hinweise gehen dann direkt an externe Meldestellen oder Behörden, und das Unternehmen verliert die Chance, Probleme intern zu lösen. Sachlich betrachtet ist das der teuerste Ausgang.
Was professionelle Systeme kosten — und wann sich der Wechsel lohnt
Der Markt ist 2026 breit und für KMU erschwinglich geworden: Digitale Meldesysteme beginnen bei rund 33 EUR/Monat (z. B. Parlabox, bei jährlicher Zahlung) bzw. ab 49 EUR/Monat im KMU-Angebot der Hintbox (deren reguläres Paket liegt bei 99 EUR/Monat, laut Anbieter unabhängig von der Unternehmensgröße). Marktübersichten nennen rund 99 EUR/Monat als üblichen Standard; umfassende Enterprise-Lösungen (z. B. mit Case-Management für Konzerne) starten bei mehreren Hundert EUR monatlich oder werden individuell angeboten. Einmalige Einrichtungsgebühren sind teils zusätzlich üblich.
<!-- Quellen: https://www.parlabox.pro/preise/ · https://www.hintbox.de/preise/ · https://voxwel.com/de/hinweisgebersoftware-preise (Marktübersicht) · https://trusted.de/beste-hinweisgebersysteme (Marktübersicht, 13 Tools) · Stand: 2026-07-17 -->
Dafür bekommen Sie die drei kritischen Punkte systemseitig gelöst: rollenbasierte Zugriffe mit Protokoll (Vertraulichkeit belegbar), automatische Fristen-Workflows mit Erinnerungen und eine revisionssichere Fallakte mit Löschkonzept. Bei CERTISCAN ist der Hinweisgeberschutz ein Modul der Compliance-Plattform: verschlüsselter Meldekanal (Deutsch/Englisch, weitere Sprachen in Vorbereitung), anonyme Kommunikation mit Rückkanal, Fristen-Steuerung für 7-Tage- und 3-Monats-Pflichten und eine manipulationssichere Falldokumentation — auf Wunsch mit externer Ombudsperson-Rolle. Preis: Teil der Flatrate, auf Anfrage. Gerade für Betriebe mit migrationsgeprägter Belegschaft zählt der mehrsprachige Zugang doppelt — warum, zeigt der Beitrag zum mehrsprachigen HinSchG-Meldekanal.
Tipp: Rechnen Sie die Entscheidung über das Risiko, nicht über den Softwarepreis: Unser HinSchG-Bußgeld-Rechner zeigt in zwei Minuten, welcher Rahmen für Ihren Betrieb im Raum steht. Ein Meldesystem für unter 100 EUR/Monat ist dagegen ein kalkulierbarer Fixposten — und der Aufbau dauert bei Cloud-Systemen Tage, nicht Monate.
Worauf Sie bei der Auswahl achten sollten
- Vertraulichkeit technisch erzwungen: Verschlüsselung, rollenbasierter Zugriff, Zugriffs-Protokollierung — nicht nur organisatorische Zusagen.
- Anonymer Rückkanal: Können Sie mit anonym Meldenden weiter kommunizieren (Rückfragen, Eingangsbestätigung)? Ohne Rückkanal endet jede anonyme Meldung in einer Sackgasse — wie das sauber aufgesetzt wird, erklärt der Leitfaden zum anonymen Meldesystem.
- Fristen-Workflow: 7-Tage- und 3-Monats-Fristen je Fall automatisch überwacht und dokumentiert.
- Mehrsprachigkeit: Beschäftigte müssen in einer Sprache melden können, die sie sicher beherrschen — sonst bleibt der Kanal ungenutzt.
- DSGVO und Hosting: Datenverarbeitung in der EU, Löschkonzept nach § 11 HinSchG, klarer Auftragsverarbeitungsvertrag.
- Betriebsmodell: Nur Software — oder auf Wunsch mit externer Ombudsperson kombinierbar?
Fazit
Kostenlos einrichten geht — rechtssicher betreiben ist der schwierige Teil. Wer die Vertraulichkeits-, Fristen- und Dokumentationspflichten mit Bordmitteln abdecken will, braucht dafür belastbare Prozesse, die am Ende mehr interne Arbeitszeit kosten als ein Einstiegssystem ab rund 33–49 EUR/Monat. Sachlich ist die Empfehlung deshalb klar: Postfach-Lösungen höchstens als kurze Übergangsphase, dann ein System mit erzwungener Vertraulichkeit und Fristen-Workflow — als Einzeltool oder als Modul einer Plattform, die auch Ihre übrigen Compliance-Pflichten abdeckt.
Häufige Fragen (FAQ)
Erfüllt ein einfaches E-Mail-Postfach die Anforderungen an eine interne Meldestelle nach dem HinSchG?
Dem Wortlaut nach kann es eine Meldung in Textform entgegennehmen — die Pflichten aus §§ 11, 16 und 17 HinSchG (belegbare Vertraulichkeit, Dokumentation, Fristensteuerung) erfüllt ein Standard-Postfach aber kaum: IT-Administratoren haben faktisch Zugriff, Fristen laufen ungesteuert, die Fallakte ist verstreut. Rechtlich angreifbar wird es genau dann, wenn es darauf ankommt — im Streitfall.
Welche laufenden Kosten hat ein digitales Hinweisgebersystem für ein KMU im Jahr 2026?
Der Einstieg liegt bei rund 33 EUR/Monat (Parlabox, jährliche Zahlung) bzw. ab 49 EUR/Monat im KMU-Angebot der Hintbox (regulär 99 EUR/Monat); als Marktstandard gelten rund 99 EUR/Monat, Enterprise-Lösungen kosten mehrere Hundert EUR oder werden individuell angeboten. Teils kommen einmalige Einrichtungsgebühren hinzu. Aufs Jahr gerechnet bewegt sich ein KMU-System damit zwischen etwa 400 und 1.200 EUR netto.
Können sich mehrere Gesellschaften oder Standorte eine gemeinsame Meldestelle teilen?
Ja — private Beschäftigungsgeber mit 50 bis 249 Beschäftigten dürfen nach § 14 Abs. 2 HinSchG eine gemeinsame interne Meldestelle betreiben; auch die Beauftragung Dritter (z. B. externe Ombudsperson oder Systemanbieter) ist zulässig. Die Verantwortung für Abhilfemaßnahmen und die Einhaltung der Pflichten bleibt aber bei jedem einzelnen Unternehmen.
Ist ein anonymer Meldekanal nach dem HinSchG verpflichtend?
Nein — eine Pflicht, anonyme Meldekanäle vorzuhalten, enthält das Gesetz nicht; eingehende anonyme Meldungen sollen aber bearbeitet werden (§ 16 Abs. 1 HinSchG). In der Praxis erhöht ein anonymer Kanal mit Rückkanal die Nutzung der internen Meldestelle deutlich — und genau davon profitiert das Unternehmen, weil Hinweise intern statt bei Behörden landen.
Wie lange muss die Dokumentation einer Meldung aufbewahrt werden — und wann ist sie zu löschen?
Nach § 11 HinSchG ist jede Meldung dauerhaft abrufbar zu dokumentieren; die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Sie darf länger aufbewahrt werden, wenn dies erforderlich und verhältnismäßig ist — etwa bei laufenden Verfahren. Ein System mit automatischem Löschkonzept setzt beides um, ohne dass jemand manuell Fristen überwachen muss.
Dieser Beitrag stellt allgemeine Informationen bereit und ersetzt keine Rechtsberatung im Einzelfall.